Что за странные попытки Gnome залезть в internet?

Question

[HighMan]

Здравствуйте, коллеги.
Fedora 37.
GNOME Shell 43.3
Случайно обнаружил постоянные сообщения в journal:

мар 29 14:53:11 host-65 linuxos.desktop[2243]: [ERRO] 2023/03/29 14:53:11 Connection error: dial tcp 193.161.193.99:26525: connect: connection refused

Сыпятся эти сообщения постоянно. С периодичностью в 3 секунды.
Браузер и прочие программы не виноваты. Сообщения падают при запущенном, пустом. Гноме

Comments

[AlexVWill]

почему странные?

[HighMan]

AlexVWill, а что это за хрень?
Почему Gnome самостоятельно лезет куда-то в internet?

[AlexVWill]

HighMan, а чего бы Гному не лезть куда то в интренет для проверки обновления, к примеру, или просто для пинга какого то сервера, чтобы потом показать иконку что интренета нет?
Да и потом, а с чего взял что это вообще гном? этот IP принадлежит bitree.ru, какой то российской лавке софта, смотри, не висятли какие то демоны для 1С или какой то подобной какахи, Гном похоже тут вообще не при делах...

[mayton2019]

Ты, дядечка проведи простой эксперимент. Зайди в runlevel3. Без гнома. И просто посмотри
что эти сообщение исчезли. Если исчезли - значит гном виноват. Если они продолжаются - то
таки гном здесь не при делах.

[HighMan]

mayton2019, Ты, дядечка, конечно, прав! Однако, первое что я сделал после обнаружения подозрительного трафика:

systemctl set-default multi-user.target
reboot
#.......
journalctl -f

Нет трафика.
Попытки соединения регулярно идут при загруженном Gnome.
Подозрения вызвал anydesk, но после его убивания, паразитный трафик сохранился.

[mayton2019]

HighMan, хмм... надо найти PID процесса который это делает. Это может быть какой-то потомок Gnome-декстопа.

[HighMan]

AlexVWill, Из "левого софта" установлены лишь anydesk и vs code. Оба не виноваты.
У меня, вообще, очень урезанный Gnome стоит. Специально ставил руками на минималках.
Судя по всему, эта дрянь в самой графической среде сидит.

Чем, вообще, можно посмотреть инициаторов соединений?
Не посмотреть открытые порты, которые bind & listen, а те процессы, которые осуществляют connect?

[HighMan]

Кое что прояснилось.
netstat -atupen
Выдала automsf.
Сработало везение! Совпала попытка коннекта с запуском netstat, потому он и отобразился.
Потом сколько раз не запускал - тщетно!
Тогда налабал скрипт, который в цикле вызывает netstat -atupen | grep '193\.'
И он отлавливает.
Файл ~/.msfdb/update/automsf и там же .path.sh
Подозрительно!
Выбил процесс - перестали появляться сообщения в журнале.
Забросил файл на VirusTotal и.. Эврика! :(

Вирус!
Причем, только 3 антивиря его знают.
Себя он прописывает в гномовский автостарт:
~/.config/autostart/automsf.desktop
Где я его поймал - ума не приложу.

[Роман]

Не хотелось иронизировать) но вы сейчас скрепу всех линуксоидов осквернили, ведь вирусня вся на винде и поэтому нужно ставить линукс чтоб не сидеть с малварью в оси. Вас наверное из клуба исключат и заставят на винду перейти теперь :(

[HighMan]

Роман, абсолютно безопасных систем не бывает.
Чем выше уровень безопасности, тем ниже юзабилити.
Ко всему прочему, выловить вирус в Linux намного проще. Главное задаться целью выяснить, что же мешает.
Впрочем это не первый вирус на Linux, с которым мне пришлось столкнуться. Еще один мой знакомый, наплевав на сложность пароля, словил майнера на сервер.
Тогда все оказалось еще проще: сервер начал безбожно тормозить. top сразу выявил процесс, который утилизировал ресурсы. Дальше дело нескольких минут пымать и обезвредить.
Linux однозначно безопаснее винды и, ПОКА, не так сложно обнаружить определенные неправильности в поведении системы. Правда, линуксоиды всеми силами стараются усложнить обнаружение.
Тот же systemd придумали, что бы жизнь медом не казалась, а уж помоище journalctl - вообще.
Достаточно посмотреть как многие пользуются: journlctl -u process --no pager. Соответственно, админ видит поведение одного процесса, забив на остальные.
Я сам, совершенно случайно заметил ненормальное поведение, лишь потрудившись писать полноценное слежение за процессом логирования sshd удовлетворившись: journalctl -f

[Роман]

HighMan, ну я надеюсь потраченные силы и время стоят того чтобы продолжать страдать в линуксах :)

Answer 1

[HighMan]

В общем: поймал вирус.
Смотрите в комментариях как обнаруживается и ловится.